Thomas Rid: Mythos Cyberwar

Bisher ist kein Mensch durch einen Cyberangriff ums Leben gekommen, da Computercodes nur auf Maschinen, nicht auf Menschen einwirken können. Cyberangriffe können nur indirekt mit Gewalt verbunden sein, obgleich sie dieselben Ziele erreichen können wie politische Gewalt: Sie können das Vertrauen in bestimmte Institutionen, Systeme oder Organisationen zerstören, wenn Sicherheitslücken bekannt werden oder wenn Funktionen infolge eines Angriffs ausfallen. Weiterhin verfügen Cyberangriffe über eine emotionale Komponente. Etwa beim größten bekannten Cyberangriff Stuxnet, bei dem das iranische Atom-Anreicherungsprogramm attackiert wurde: Damals fingen die Mitarbeiter_innen an, sich gegenseitig zu beschuldigen.

Dennoch vermögen Cyberangriffe nicht, emotional den gleichen Schmerz und das gleiche Leid zu verursachen wie gezielte Bombardierungen eines Landes. Weiterhin ist auch der symbolische Gehalt eingeschränkt. Durch eine Pistole im Halfter oder eine große Militärparade können wirkliche Drohkulissen aufgebaut werden. Die gleiche Schlagkraft lässt sich jedoch nicht durch codebasierte Gewalt erzeugen und stößt somit in körperlicher, emotionaler und symbolischer Hinsicht an seine Grenzen. Cybergewalt ist weniger physisch, weil sie immer indirekte Gewalt ist, sie ist weniger emotional, weil sie immer weniger persönlich und intim ist. Da symbolische Gewalt im Cyberspace nur sehr begrenzt funktioniert und selten auf die gleiche Weise wiederholt werden kann, ist codebasierte Gewalt auch weniger instrumentell als konventionale Formen der Gewaltanwendung.

Die Definition einer Cyberwaffe ist schwierig. Waffen sind Schädigungswerkzeuge. Ein Programmcode, der gezielt Server überlastet, fügt streng genommen keiner Entität unmittelbaren Schaden zu. Ebenso wie bei Spionage und der Übernahme von geistigem Eigentum entsteht der Schaden indirekt, meist durch eine ungünstige Markt- und Machtposition. Ferner hängt die Zweckmäßigkeit einer Waffe essenziell von der Wahrnehmung des Bedrohten ab. Überfällt ein Angreifer eine Bank mit einer Softair-Pistole, verliert diese das Bedrohungspotenzial, sobald erkannt wird, dass es sich nicht um eine echte Waffe handelt. Öffentlich bekannte Cyberwaffen verfügen über eine deutlich geringere Schlagkraft, als gemeinhin angenommen wird. Außerdem ist nicht immer eindeutig, wann ein Angriff auf ein Ziel anfängt oder aufhört, das Instrument eines bestimmten Angreifers zu sein. Wenn der Angreifer – wie bei einem sich ausbreitenden E-Mail-Wurm – nicht in der Lage ist, das schädigende Instrument zu kontrollieren, verliert es seinen zentralen instrumentellen Charakter.

Sabotage ist der gezielte Versuch, ein ökonomisches oder militärisches System zu schwächen oder zu stören. Dabei ist sie immer technischer Natur, bedient sich aber gegebenenfalls sozialer Vehikel. Wenn es zur Anwendung von Gewalt kommt, sind bevorzugt Gegenstände und nicht Menschen das Ziel. Bei einem Angriff gegen die größte Ölfördergesellschaft der Welt, Saudi Aramco, wurden beispielsweise 30.000 Festplatten von Computern dauerhaft gelöscht. Saboteure verzichten häufig auf offene Gewalt und politische Zuschreibung, weshalb es nicht als bewaffneter Angriff anzusehen ist. Sabotage ist immer instrumentell.

Vor dem digitalen Zeitalter schlug Sabotage schnell von Gewalt gegen Maschinen in Gewalt gegen Menschen um. Gewaltlose Cyberangriffe können jedoch wirkungsvoller, schädigender und instrumenteller sein als Angriffe, die mit Gewalt verbunden sind. Da fast alle Akte von Computersabotage bislang gewaltlos blieben, ist Sabotage gleichsam gewaltfreier.

Spionage ist als das geheime Sammeln von Erkenntnissen entweder durch Abfangen von Nachrichten oder durch Eindringen in fremde Computernetzwerke zu verstehen. Cyberspionage ist vollkommen gewaltfrei, aber äußerst gefährlich. Häufig geschieht Spionage mithilfe sozialer Manipulation oder „spear-fishing“. Hierbei erhalten Mitarbeiter_innen eines Konzerns von einem vermeintlichen Kollegen_in gefälschte E-Mails, in denen sie dazu auffordert werden, Daten oder Passwörter preiszugeben. Dadurch wird der Zugang zu großen Datenmengen eröffnet. Große Datenmengen bedeuten aber zugleich, dass ein erheblicher Aufwand betrieben werden muss, um aus den verfügbaren Daten verwertbare Ergebnisse zu gewinnen. Big Data heißt überdies, dass Nachrichtendienste viel mehr Daten sammeln können, als sie sinnvoll zu analysieren imstande sind.

Subversion ist komplex und intellektuell herausfordernd: Sie zielt auf die Köpfe der Menschen, nicht auf Maschinen und funktioniert über das Aushöhlen von sozialen Bindungen, Überzeugungen und Vertrauen in kollektive Organe wie den Staat. Das Ziel kann entweder darin bestehen, eine herrschende Wirtschafts- oder Regierungsordnung zu stürzen – oder darin, diese gegen ihren Willen zu bestimmten Handlungen zu zwingen.

Subversion kann als eigenständiges Instrument gedacht werden, das bestimmte Ziele gewaltlos erreicht. Sie kann von einem Hauptkampffeld ablenken oder als Vorstufe zu einem intensiveren gewaltsamen Aufruhr geplant sein. Meist dient sie aber gemäßigteren Zielen als der Aufstand. Der Cyberspace verändert das Wesen der Subversion; ebenso sehr zum Vorteil wie zum Verdruss der Aktivist_innen. Die Technologie hat die Einstiegskosten verringert, aber die Schwelle zum Erfolg deutlich angehoben.

Subversion orientiert sich heute viel stärker an konkreten Anliegen, nicht mehr an großen Narrativen wie in der Vergangenheit. Die Organisationsstruktur einer subversiven Bewegung zeichnet sich durch hohe Mitgliederfluktuation, flache Hierarchien und ein geringes Maß an Kontrolle aus. Selten existieren Mitgliederdatenbanken, die meisten Mitglieder bleiben einander gar unbekannt, was die Antiglobalisierungsbewegung illustriert. Das Anliegen ist die treibende Kraft, welche die Quelle des Zusammenhalts darstellt.

Die subversiven Bewegungen der heutigen Zeit sind vielfältig und profitieren von digitaler Vernetzung. Dies zeigt sich bei Tierrechtsaktivist_innen, Occupy Wallstreet oder dem Arabischen Frühling. Bei Letzterem wurden mithilfe von Facebook große Menschenmassen mobilisiert, die das herrschende System herausforderten, was in einigen Fällen in einer blutigen Niederschlagung mündete.

Ein gewisses Maß an subversiver Aktivität ist in jedem politischen System die unerlässliche Bedingung dafür, die Möglichkeit für ein freies, offenes und kritisches Gemeinwesen zu schaffen. Denn wer die geltende Autorität auf konstruktive Art und Weise infrage stellt, leistet oftmals einen Beitrag zur Verwirklichung einer dynamischen, anpassungsfähigen und innovativen Kultur – dies gilt gleichermaßen in Geschäftsleben wie in Wissenschaft und Politik. Die Grenze zwischen dem, was legal und was illegal ist, wird permanent neu verhandelt, und die legislativen Maßnahmen und Gesetze eines Staates sind Ausdruck dieser politischen Debatten.

Mit der Ergänzung um das Recht auf Widerstand – durch Absatz 4 in Artikel 20 des Grundgesetzes – wurde 1968 in Deutschland Subversion verfassungsrechtlich institutionalisiert. Generell zeigt sich in liberalen Demokratien eine legale Praktizierung und Institutionalisierung von Subversion an Universitäten, in Sprache, auch in Kunst oder Literatur. Liberale Demokratien müssen demzufolge herausfinden, wie sich das Recht auf Widerstand und die bürgerlichen Freiheiten wieder mit der nationalen Sicherheit in ein Gleichgewicht bringen lassen.

Attribution, die Schwierigkeit eine Attacke bis zu einem oder mehreren Angreifern zurückzuführen, ist mehr ein politisches als ein technisches Problem. Das Attributionsproblem richtet sich insbesondere nach der Schwere eines Angriffs. In den meisten Fällen von Cyberspionage reichen die Informationen nicht für einen Rückschluss auf die Motivation der Angreifer aus. Gibt es keinen Akteur, der die Verantwortung übernimmt, läuft die Identifikationszuschreibung immer auf Ebene des Ermessens.

Je zerstörerischer und gewaltsamer ein Angriff ist, desto mehr steht politisch auf dem Spiel. Und je mehr politisch auf dem Spiel steht, desto eher kann das angegriffene Land das mutmaßliche Angreiferland dazu zwingen, kriminaltechnische Untersuchungen aktiv zu unterstützen. Die Beweislast wird auf den Verdächtigen geschoben. Ein fehlendes Kooperieren würde als Schuldeingeständnis interpretiert. In einer solchen Extremsituation würde man das Attributionsproblem höchstwahrscheinlich in einem akzeptablen Zeitrahmen lösen können. Kommt es also zu einem „Cyberkrieg“, wird sich das Attributionsproblem in Wohlgefallen auflösen, denn Attribution ist immer Ermessenssache.

Mit martialischer Symbolik versehen, werden Cyberkonflikte als „Kriegsführung im fünften Bereich“ bezeichnet, was nicht angemessen ist: Es findet keine Militarisierung des Cyberbereichs statt. Das Einzige, was tatsächlich militarisiert wurde, ist die Debatte um den Cyberspace. Eine Zunahme von Cyberattacken ist vielmehr nichts anderes als ein Angriff auf die Gewalt selbst. Gewaltakte im Cyberspace sind weniger physisch, weniger emotional, weniger symbolisch und weniger instrumentell als konventionelle Formen politischer Gewalt.

Bei einem Sabotageakt ist es wahrscheinlicher, dass sich Saboteure für den gewaltlosen Weg entscheiden. In der Anfangsphase erfordert die subversive Zersetzung einer herrschenden Autorität weniger Gewalt als früher, wenngleich es schwieriger geworden ist, eine aufkeimende subversive Bewegung zu revolutionärem Erfolg zu führen. Aufgrund der arbeitsintensiven Vorbereitung (Informationen beschaffen, coden, testen etc.) ist die Reihe der möglichen großen Ziele für Cyberangriffe viel begrenzter als gemeinhin angenommen; das Gegenteil gilt für solide Abwehrmaßnahmen. In kurzer Zeit gibt es Patches und angemessene Schutzmaßnahmen.

Das Problem der Wiederholbarkeit schränkt das Drohpotenzial destruktiver Cyberattacken erheblich ein. Der Cyberspace begünstigt somit die Seite der Verteidigung anstatt den Angreifer. Erfolgreiche Attacken gegen die bestgeschütztesten Ziele ereignen sich mit großer Wahrscheinlichkeit nicht ohne die finanzielle und technische Unterstützung eines staatlichen Akteurs. Die politische Zweckmäßigkeit von Cyberattacken ist bisher begrenzt gewesen und wird es auch bleiben.

Die Herausforderung für liberale Demokratien besteht darin, nicht Subversion per se einzudämmen, sondern die richtige Form von Subversion zu erhalten, die demokratische und unternehmerische Selbsterneuerung überhaupt erst möglich macht. Wie sollte in einer offenen, liberalen Demokratie die Grenze zwischen regenerativer Subversion, die in den wirklich freien Ländern in die Verfassungen eingeschrieben ist, und illegalen subversiven Aktivitäten ausgehandelt und gezogen werden?

Die größte Gefahr für liberale Demokratien besteht nicht darin, dass diese Technologien den Individuen zu größerer Macht verhelfen als dem Staat; langfristig gesehen ist das Risiko viel größer, dass sie dem Staat mehr Macht geben als den Individuen und dadurch die fein justierte Machtbalance zwischen Bürgern und den von ihnen gewählten Regierungen aus dem Gleichgewicht bringen.